一、统一通信的安全挑战当电话网遇上数据网在传统电信时代通信系统面临的主要风险是盗打电话Toll Fraud——即未经授权使用通信资源。然而当统一通信将电话服务与企业数据网络融合之后安全威胁的疆域骤然扩大。Avaya明确指出统一通信系统必须能够抵御以下四类攻击拒绝服务攻击DoS通过洪水般的请求瘫痪通信服务恶意软件病毒、蠕虫及其他恶意代码数据窃取窃听通话内容或盗取敏感信息盗打电话未经授权使用通信资源这意味着曾经的电话安全问题如今已演变为一个完整的网络安全工程。Avaya Aura 给出的答案是以 Session Manager会话管理器为核心枢纽构建安全设计—安全默认—安全通信三层递进的安全加固策略。二、安全设计Secure by Design—— 用网络隔离构建安全特区安全设计的核心理念是将统一通信应用与服务器从企业生产网络中隔离出来。在 Avaya Aura 架构中所有 SIP 会话都流经 Session Manager 这一 SIP 路由元素。正是这一必经之路的拓扑设计使 Session Manager 得以像一道防火墙保护后端的 UC 应用与服务器免受网络层、传输层及 SIP 层的拒绝服务攻击和其他恶意网络攻击。1. 专属安全区域Avaya 进一步将网络划分为多个专用安全区域Security Zones每个区域承载特定功能安全区域功能定位管理区Administration系统管理与运维操作网关控制网络Gateway Control Network网关设备的控制信令企业网络Enterprise Network企业办公用户接入辅助设备区Adjuncts辅助应用与接口设备SIP 元素区SIP ElementsSIP 终端与服务器对于 Communication Manager通信管理器Avaya 确保每个安全区域不可从企业办公区或分支机构区直接访问。这些区域如同为特定功能量身打造的专用网络彼此之间无需互通从而大幅缩小了攻击面。这一设计不仅防御来自外部的攻击更有效防范了来自企业内部和分支机构区域的攻击——这一点在零信任安全理念日益重要的今天尤为关键。2. 网关前哨防护带有专用网守前端接口procr的网关设备承担着前哨角色它们逐一检查流量将洪水攻击、畸形 IP 数据包以及试图通过分支网关获取服务器管理权限的非法行为拦截在服务器区域之外。分支机构的安全区域在中央分支网关接口处终结使 Communication Manager 的核心始终处于保护之下。3. 边界控制器加固对于通过 SIP 中继连接到 SIP 服务提供商的场景Avaya Aura Session Border ControllerSBC在服务提供商与 Session Manager 之间提供额外的安全隔离层将不可信的外部网络与核心通信系统隔开。三、安全默认Secure by Default—— 最小化原则减少攻击面如果说安全设计解决的是网络怎么部署那么安全默认解决的就是系统怎么配置。Avaya 的安全默认策略遵循最小化原则产品只安装运行所必需的软件和服务默认配置即开启安全功能。具体措施包括加固的操作系统配置对于 Avaya 的交钥匙产品操作系统经过硬化处理定制化 Linux 内核运行在 Linux 上的 Avaya 产品使用修改过的内核端口与服务收敛严格限制开放的访问端口、服务和可执行程序数量攻击面缩减通过裁减不必要的 Linux 服务从源头上减少可被利用的攻击入口这一策略的本质是不给攻击者留下多余的落脚点。每一个多余的端口、每一个不必要的服务都是潜在的攻击入口。Avaya 通过在出厂默认状态就将这些入口关闭使系统在被部署的瞬间即处于已加固状态而非依赖运维人员事后补救。四、安全通信Secure Communications—— 全链路加密与认证前两层构建了安全的网络和安全的系统第三层则确保安全的传输。1. 媒体加密与信令加密双管齐下Avaya Aura 在通信链路上实施双重加密保护媒体加密对语音流进行加密确保通话内容的隐私性信令安全集成化的信令安全机制对所有连接的 SIP 元素、IP 电话和网关进行消息保护与认证最大限度降低攻击者篡改机密呼叫信息的能力这套加密体系保护的范围覆盖了通信过程中最敏感的信息包括主叫与被叫号码、用户授权信息、屏障码Barrier Codes、通话过程中输入的信用卡号及其他个人信息。2. 802.1X 端点准入IP 终端设备还通过支持802.1X 协议向网络基础设施进行认证。网关或数据交换机等网络设备充当认证者Authenticator将认证请求转发至客户的认证服务。这意味着未经认证的设备根本无法接入通信网络。五、信任管理以 PKI 与 TLS 构建可信通信域在 Avaya Aura 内部各元素之间的通信涉及 SIP、HTTPS、RMI远程方法调用、JMXJava 管理扩展等多种协议。Avaya 统一采用TLS传输层安全来保护这些通信通道防止窃听和消息篡改。更重要的是建立互信 TLS 会话所使用的凭据同时被用于实现元素级的认证与授权——即加密与身份合二为一。证书生命周期管理身份证书与可信根证书是建立 TLS 会话的基础。Avaya 通过PKI公钥基础设施实现证书的可扩展发放与远程管理。System Manager 中的信任管理服务Trust Management Service承担以下职责融入企业 PKI可对接客户现有的企业 PKI也可为 Avaya 组件创建独立的信任域或使用第三方信任提供商如 Verisign证书全生命周期管理私钥安全存储、证书签发、续期、吊销吊销信息发布及时发布已吊销证书的撤销信息可信证书集中管理统一查看、添加和删除可信证书Avaya 产品通过SCEP 协议进行证书注册并通过 Web 服务接口和 JMX 接口支持 System Manager 对证书的远程管理。这套机制使大规模部署中的证书运维变得可管可控。六、认证与授权集中认证、分布式授权1. 认证可信与不可信的清晰边界Avaya Aura 将认证定义为验证用户、应用或系统身份的过程。Session Manager 在此扮演 SIP 注册器/代理的角色并将接入设备分为两类不可信设备Un-trusted不在可信主机列表中的设备SIP 代理/注册器不接受其 PAIP-Asserted-Identity已断言身份可信设备Trusted在可信主机列表中注册的设备SIP 代理/注册器接受其 PAI要成为可信设备必须在 SIP 注册器/代理的可信主机列表中建立对应条目并经过认证机制验证。2. 授权粗粒度与细粒度的分层管控Session Manager 是所有 SIP 实体的认证门户所有服务请求都经由这一门户分发并跨应用协同验证和完成。客户端访问认证在此集中处理但资源与操作的访问控制则分布式实施依据管控粒度灵活分配粗粒度高层访问控制在服务门户、服务类型处理器或接口处理器层面执行细粒度访问控制分布到实际执行请求动作的各服务中——因为在这些服务中才拥有做出应用级决策所需的上下文知识这种集中认证、分布式授权的架构既保证了身份验证的一致性与严密性又赋予各服务根据自身业务逻辑进行精细化权限控制的能力。结语安全是架构而非补丁纵观 Avaya Aura 的安全设计一条清晰的主线贯穿始终安全不是事后打补丁而是从架构设计之初就内建的能力。从网络隔离的安全区域到最小化的系统默认配置从全链路的媒体与信令加密到基于 PKI 的信任管理体系从集中式的身份认证门户到分布式的细粒度授权——Avaya Aura 用三层递进的安全策略为企业统一通信构建了一张纵深防御的安全网。在网络安全威胁日益复杂、远程办公与移动通信成为常态的今天这种安全设计、安全默认、安全通信的多层加固理念不仅适用于通信系统也为企业级 IT 架构的安全设计提供了值得借鉴的范本。我们致力于用专业技术为您保驾护航